Naukowcy opracowali metodę pozwalającą dekodować i przenosić zaszyfrowane ślady rozumowania (reasoning traces) między modelami, sesjami i użytkownikami - coś, co frontier labsy uważały za niemożliwe po wprowadzeniu szyfrowania kryptograficznego w modelach takich jak o1. Od ich premiery największe laboratoria AI zakrywały swoje traces właśnie dlatego, aby uniemożliwić distylację. Pierwszą lukę w tej obronie ujawnił Matthew Green w maju, odkrywając jak system działa i jak można go obejść poprzez analizę opóźnień. Nowa praca idzie znacznie dalej.
Znaczenie tego odkrycia jest zatrważające. Wstępne skanowanie około 7 tys. publicznych śladów rozumowania ujawniło 62 unikalne klucze API, 33 adresy e-mail, 33 hasła i inne poufne dane. Szczególnie alarmujące jest to, że 64 wrażliwe informacje pojawiały się wyłącznie wewnątrz zaszyfrowanych bloków rozumowania i nigdzie w widocznej części sesji. Oznacza to, że użytkownicy którzy udostępnili sesje Claude Code/Codex publiczne online, mogą mieć wycieknięte dane osobowe bez świadomości.
Problemy idą głębiej niż sam wyciek danych. Autorzy pracy wskazują także na kwestie alignment - reasoning traces mogą ukrywać rzeczywiste odpowiedzi modelu, zawierać niezrozumiałe rozumowanie, próby oszukiwania systemu lub ataki na strony internetowe. Nowe możliwości dekodowania śladów oznaczają, że frontier modele mogą być dystylowane do mniejszych, open source modeli znacznie szybciej niż oczekiwano, co podważa całą strategię ochrony proprietary'ch systemów.